搜索

[14086] 2019-05-09_犯罪分子竟使用签名Rootkit窃取登录和付款信息

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2019-05-09_犯罪分子竟使用签名Rootkit窃取登录和付款信息 犯 罪 分 子 竟 使 用 签 名 R o o t k i t 窃 取 登 录 和 付 款 信 息 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 5 - 0 9 近 期 ， 研 究 人 员 发 现 有 网 络 犯 罪 分 子 正 在 大 规 模 的 恶 意 活 动 中 使 用 数 字 签 名 的 近 期 ， 研 究 人 员 发 现 有 网 络 犯 罪 分 子 正 在 大 规 模 的 恶 意 活 动 中 使 用 数 字 签 名 的 R o o t k i t 来 窃 取 目 标 用 户 的 登 录 凭 来 窃 取 目 标 用 户 的 登 录 凭 证 、 支 付 信 息 以 及 浏 览 器 历 史 记 录 ， 并 以 此 来 对 社 交 网 络 用 户 进 行 网 络 诈 骗 以 及 恶 意 广 告 传 播 活 动 。 证 、 支 付 信 息 以 及 浏 览 器 历 史 记 录 ， 并 以 此 来 对 社 交 网 络 用 户 进 行 网 络 诈 骗 以 及 恶 意 广 告 传 播 活 动 。 研 究 人 员 将 此 系 列 恶 意 活 动 命 名 为 了 “ S c r a n o s ” ， 在 此 攻 击 活 动 中 ，   R o o t k i t 会 要 求 目 标 用 户 安 装 一 个 视 频 驱 动 程 序 。 安 装 完 成 后 ， 它 便 会 下 载 攻 击 者 所 设 定 的 P a y l o a d 。 受 此 攻 击 影 响 的 除 了 像 C h r o m e 、 C h r o m i u m 、 F i r e f o x 、 O p e r a 、 E d g e 和 I E 这 些 常 用 浏 览 器 之 外 ， 还 有 F a c e b o o k 、 A m a z o n 、 A i r b n b 、 S t e a m 和 Y o u t u b e 这 样 的 网 络 在 线 服 务 。 攻 击 形 式 新 颖 攻 击 形 式 新 颖 研 究 人 员 表 示 ， R o o t k i t 签 名 所 使 用 的 证 书 很 有 可 能 是 窃 取 来 的 。 签 名 所 用 的 数 字 证 书 来 自 于 上 海 的 一 家 健 康 管 理 咨 询 公 司 ， 而 这 家 公 司 并 未 涉 足 软 件 开 发 领 域 。 目 前 ， 该 证 书 仍 然 是 有 效 的 。 研 究 人 员 目 前 已 将 S c r a n o s 活 动 的 【 详 细 分 析 报 告 】 发 布 了 出 来 ， 并 在 报 告 中 详 细 介 绍 了 此 次 攻 击 活 动 中 所 涉 及 到 的 攻 击 组 件 。 技 术 细 节 技 术 细 节 攻 击 者 在 感 染 目 标 W i n d o w s 系 统 时 使 用 的 是 内 存 R o o t k i t ， 在 实 现 感 染 时 主 要 利 用 的 是 伪 装 成 合 法 应 用 程 序 的 电 子 书 浏 览 器 、 视 频 播 放 器 或 反 恶 意 软 件 产 品 。 为 了 实 现 在 目 标 主 机 上 的 持 久 化 感 染 ， S c r a n o s 会 在 目 标 设 备 关 闭 之 前 向 硬 盘 覆 盖 写 入 数 据 ， 并 在 完 成 后 删 除 所 有 的 P a y l o a d 。 而 且 在 某 些 特 殊 情 况 下 ， P a y l o a d 甚 至 会 向 合 法 进 程 “ s v c h o s t . e x e ” 中 注 入 恶 意 下 载 器 。
根 据 研 究 人 员 的 分 析 ， 目 前 该 恶 意 软 件 样 本 的 功 能 只 包 括 ： 下 载 和 运 行 P a y l o a d   D r o p p e r 、 实 现 持 久 化 感 染 ， 以 及 删 除 正 在 使 用 的 文 件 （ 用 于 移 除 内 存 中 的 P a y l o a d ） 。 但 研 究 人 员 表 示 ， R o o t k i t 下 载 器 是 一 款 多 功 能 的 恶 意 软 件 ， 它 还 可 以 从 刚 才 我 们 提 到 的 浏 览 器 中 提 取 目 标 用 户 的 登 录 凭 证 ， 并 使 用 恶 意 D L L 文 件 来 实 施 其 他 攻 击 。 感 染 范 围 感 染 范 围 除 了 Y o u t u b e 用 户 之 外 ， 很 大 一 部 分 目 标 用 户 都 来 自 于 中 国 ， 其 中 包 括 广 东 、 上 海 、 江 苏 和 浙 江 的 数 万 名 用 户 在 内 。 但 研 究 人 员 也 表 示 ， S c r a n o s 活 动 目 前 仍 在 不 断 进 化 ， 而 它 的 感 染 范 围 也 已 经 扩 张 到 了 印 度 、 罗 马 尼 亚 、 巴 西 、 法 国 、 意 大 利 和 印 度 尼 西 亚 等 国 家 和 地 图 。 除 此 之 外 ， 根 据 研 究 人 员 对 恶 意 软 件 样 本 的 分 析 ， 攻 击 者 还 有 可 能 会 在 恶 意 软 件 中 增 加 多 种 新 型 的 感 染 组 件 。 P a y l o a d 分 析 分 析 针 对 Y o u t u b e 频 道 的 P a y l o a d 使 用 了 C h r o m e 的 调 试 模 式 ， 并 将 自 身 从 任 务 栏 中 隐 藏 ， 不 过 我 们 还 是 可 以 通 过 任 务 管 理 器 来 查 看 到 相 应 恶 意 软 件 的 活 动 。 如 果 目 标 主 机 中 没 有 安 装 C h r o m e ， 恶 意 软 件 会 直 接 安 装 在 目 标 系 统 中 。 研 究 人 员 表 示 ： “ 我 们 在 对 一 个 Y o u t u b e 页 面 及 西 宁 分 析 后 ， 我 们 发 现 恶 意 软 件 会 先 在 C h r o m e 中 打 开 一 个 U R L ， 然 后 利 用 恶 意 P a y l o a d 来 控 制 C h r o m e 在 这 个 页 面 中 进 行 各 种 操 作 ： 打 开 一 个 视 频 ， 然 后 静 音 ， 并 订 阅 该 频 道 ， 最 后 点 击 恶 意 广 告 ， 而 这 些 操 作 全 部 都 是 通 过 C h r o m e 的 调 式 命 令 完 成 的 。 ”
在 一 天 之 内 ， Y o u T u b e   P a y l o a d 可 以 在 后 台 悄 悄 订 阅 大 量 的 特 定 频 道 ， 每 天 大 约 可 以 给 目 标 频 道 带 来 3 1 0 0 多 个 新 订 阅 者 。 用 于 安 装 浏 览 器 插 件 的 P a y l o a d 可 以 攻 击 C h r o m e 、 O p e r a 和 I E 等 支 持 W e b 页 面 J a v a S c r i p t 功 能 的 浏 览 器 。 在 C h r o m e 中 ， 它 可 以 C h r o m e   F i l t e r 、 F i e r c e - t i p s 和 P D F - M a k e r 等 插 件 ， 而 最 后 一 个 目 前 仍 然 可 以 在 C h r o m e W e b 商 城 中 找 到 ， 而 且 装 机 量 也 达 到 了 1 2 万 8 千 多 。 F a c e b o o k 网 络 诈 骗 P a y l o a d 负 责 发 送 好 友 请 求 以 及 钓 鱼 信 息 （ 恶 意 链 接 指 向 一 个 A n d r o i d   A P K 文 件 ） 。 它 可 以 从 F i r e f o x 、 C h r o m e 以 及 其 他 基 于 C h r o m i u m 的 浏 览 器 中 窃 取 C o o k i e 信 息 。 针 对 E d g e 浏 览 器 ， 它 会 安 装 E d g e C o o k i e s V i e w 这 款 工 具 ， 这 款 工 具 是 N i r s o f t 开 发 的 一 款 合 法 工 具 ， 而 他 所 开 发 的 工 具 是 很 多 恶 意 软 件 开 发 人 员 以 前 都 使 用 过 的 。 针 对 S t e a m 账 号 ， 它 首 先 会 使 用 初 始 下 载 器 下 载 安 装 R o o t k i t 以 及 其 他 组 件 。 然 后 重 新 设 置 一 个 注 册 表 键 来 存 储 S t e a m 账 号 凭 证 。 除 了 凭 证 数 据 之 外 ， 窃 取 的 数 据 还 包 括 系 统 中 安 装 的 游 戏 列 表 以 及 上 一 次 游 戏 时 间 等 等 。 研 究 人 员 表 示 ， 目 前 S c r a n o s 活 动 仍 在 持 续 进 行 中 ， 而 且 攻 击 手 段 一 直 在 不 断 进 化 升 级 ， 而 且 影 响 范 围 也 在 逐 步 扩 大 ， 其 中 绝 大 多 数 受 影 响 的 用 户 都 是 W i n d o w s   1 0 用 户 。 完 整 分 析 报 告 ： 【 点 击 阅 读 原 文 获 取 】 *   参 考 来 源 ： b l e e p i n g c o m p u t e r ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理